HTTPS privát IP-re: tanúsítvány-identitás vagy gépnév?

A https://10.60.0.25 címen futó szolgáltatásának hitelesített TLS-e lehet DNS-név nélkül is. A cím az az identitás, amelyet az ügyfélnek ellenőriznie kell, és a tanúsítványnak pontosan le kell írnia. A döntés az, hogy ez a cím elég stabil-e identitásként, vagy egy gépnév könnyebben karbantartható lenne. A VPN az elérhetőségre válaszol; erre nem válaszol.

Ha az identitás és a bizalom rendben van, az IP-alapú URL legitim megoldás.

Mit ellenőriz valójában az ügyfél

Az ügyfél összehasonlítja az URL hivatkozási identitását a tanúsítvány alternatív névmezőivel. IP-cím esetén ez a címnek megfelelő iPAddress bejegyzést jelenti. Egy barátságos köznév nem helyettesíti.

RFC 9525 elválasztja az IP-cím-identitásokat a DNS-nevektől, és meghatározza az egyeztetési szabályt. Ha a cím csak a tárgy címkéjében vagy DNS-típusú bejegyzésként szerepel, nem jön létre egyezés. Ezért a SAN az a mező, amelyet figyelmeztetés megjelenésekor ellenőrizni kell.

A bizalom egy második, független ellenőrzés. A névegyezés nem javítja a nem megbízható láncot, a lejárt tanúsítványt vagy a más célra kiadott tanúsítványt.

Első döntés: elég stabil-e a cím identitásként

Ha a cím a telepítés teljes élettartama alatt rögzített, az IP SAN tanúsítvány egyszerű és őszinte. Ha a szolgáltatás mozoghat, minden mozgás tanúsítványcserévé és összehangolt ügyfélfrissítéssé válik.

A stabil gépnév csökkenti ezt a kapcsolódást. Az ügyfelek a nevet használják, a jóváhagyott DNS a jelenlegi címhez rendeli, és a címváltozás megszűnik identitásváltozás lenni. A tanúsítványt továbbra is meg kell újítani, de az URL nem változik.

Egy kezelt hosts-fájl bejegyzés biztosíthatja a leképezést kis környezetben. Ez elosztási felelősséget ad hozzá; nem helyettesíti a TLS-ellenőrzést.

Második döntés: hogyan fog az ügyfél megbízni a kibocsátóban

Privát CA esetén a jóváhagyott mechanizmuson keresztül ossza el a bizalmi horgonyt a tervezett eszközökön. Ne tanítsa a felhasználókat figyelmeztetések átkattintására vagy a bejelentkező oldal által adott tanúsítvány telepítésére. Ha nyilvánosan megbízható tanúsítványt szeretne, a tervezés előtt ellenőrizze a kibocsátó jelenlegi szabályait a privát címekre. A legtöbb nyilvános kibocsátó nem validálja a privát IP-t nyilvános identitásként.

Vizsgálja meg a tényleges böngészőt vagy alkalmazást. Annak bizalmi tára és érvényesítési viselkedése fontosabb, mint az operációs rendszer általános tanúsítvány-dokumentációja. Ellenőrizze a tényleges eszközön, ne csak a konzolon.

Előfordulhat, hogy a VPN-átjáró nem az a gép, amely a webalkalmazást futtatja, ezért ne feltételezze, hogy az alagút tanúsítványának ehhez bármi köze van.

Tervezze meg a címváltozást, mielőtt megtörténik

Ha a 10.60.0.25-ből 10.60.0.40 lesz, a régi tanúsítvány már nem írja le az URL-t. Tervezze meg a cserét és az ügyfélfrissítést együtt, és soha ne kapcsolja ki az ellenőrzést a költözés alatt.

Válassza ki azt az identitást, amelyet a felhasználók beírnak vagy az alkalmazások beállítanak, majd ehhez igazítsa a kibocsátást, a bizalmat, a telepítést és a megújítást. Egy elutasított figyelmeztetéssel elérhető oldal nem ugyanaz az eredmény, mint egy szolgáltatás, amelynek identitását az ügyfél ellenőrzi.